Certifikovaná kybernetická bezpečnosť automobilov s ENX VCS

Zoznam obsahu

• Záväzné predpisy v oblasti kybernetickej bezpečnosti
• ENX VCS - celosvetový program auditu pre ISO/SAE 21434
• Štandardizované audity - porovnateľné výsledky
• ^TISAX® a VCS pracujú v tandeme
• Preukázanie zhody podľa ENX VCS
• DQS - Jednoduché využitie bezpečnosti

Záväzné predpisy v oblasti kybernetickej bezpečnosti

S cieľom čeliť rastúcim kybernetickým hrozbám prijala EHK OSN R 155 a 156, ktoré zahŕňajú zavedenie systému riadenia kybernetickej bezpečnosti (CSMS), resp. systému riadenia aktualizácií softvéru (SUMS). Cieľom týchto predpisov je zabezpečiť kybernetickú bezpečnosť počas celého životného cyklu modelu a v celom dodávateľskom reťazci. V EÚ sú tieto predpisy povinné pre všetky novo vyrobené vozidlá od júla 2024.

ENX VCS - celosvetový program auditu pre ISO/SAE 21434

V rámci normy ISO/SAE 21434 (Cestné vozidlá - kybernetická bezpečnosť techniky) sa v priebehu platnosti predpisov OSN uskutočnil pokus o vytvorenie usmernenia a dôkazu o zhode pre dodržiavanie predpisov. V praxi sa však ukázalo, že príslušné programy auditu poskytovateľov skúšobných služieb sa príliš líšia - napriek špecifikáciám normy ISO/PAS 5112. Výrobcovia preto stále nemali možnosť poskytnúť zákonodarcovi spoľahlivé a porovnateľné dôkazy o zhode svojich dodávateľov - tí zasa mali problémy s preukazovaním zhody so zmluvnými ustanoveniami na základe porovnateľného testovacieho základu.

Preto združenie ENX (združenie európskych výrobcov automobilov, dodávateľov a združení) navrhlo program auditu ENX VCS. ENX VCS vykonáva audit implementácie systémov riadenia kybernetickej bezpečnosti vozidiel (VCSMS) v súlade s normami ISO 21434 a ISO 5112. Jeho rozhodujúca výhoda: audit VCS je celosvetovo štandardizovaný a dá sa rýchlejšie prispôsobiť novým výzvam ako norma ISO. Skupina medzinárodných odborníkov pravidelne reviduje program auditu, aby bol stále aktuálny.

Štandardizované audity - porovnateľné výsledky

Vďaka štandardizovanému auditu ENX VCS sa spoločnosti vyhnú zbytočným, v neposlednom rade finančným výdavkom, ktoré môžu vzniknúť v dôsledku viacúrovňových procesov auditu a rozdielnych auditov. Aby sa zabezpečili globálne porovnateľné procesy u všetkých poskytovateľov auditu, spoločnosť ENX pri spustení programu zverejnila aj špecifické kritériá a požiadavky na poskytovateľov auditu (ACAR VCS) a záväzný katalóg auditov pre audity kybernetickej bezpečnosti vozidiel (VCSA). Tie definujú rad povinných kompetencií a záväzný procesný model pre audítorov VCS - okrem organizačného auditu predpisov V-CSMS napríklad aj povinný audit dokumentov a procesov - a tvorbu rizikovo orientovanej náhodnej vzorky všetkých projektov relevantných z hľadiska kybernetickej bezpečnosti. Inžinierske tímy zodpovedné za projekty vo vzorke potom absolvujú rozhovory s audítormi a expertmi. Výsledky práce tímu sa preskúmajú, aby sa zabezpečilo, že V-CSMS sa skutočne používa v praxi. Po úspešnom ukončení testu môžu spoločnosti požiadať ENX o pridelenie príslušnej značky VCS a sprístupniť ju záujemcom prostredníctvom výmenného mechanizmu ENX.

TISAX^® a VCS pracujú v tandeme

Štrukturálne sú audity VCS s ACAR VCS založené na zavedenom automobilovom štandarde TISAX^®. Tieto dva mechanizmy auditu sa navzájom dopĺňajú: zatiaľ čo TISAX^® hodnotí bezpečnosť informácií v spoločnosti, značka VCS potvrdzuje kybernetickú bezpečnosť komponentov vozidla. Podobne ako v prípade ^TISAX® audit VCS zohľadňuje rôzne úlohy dodávateľov pri poskytovaní kyberneticky relevantných komponentov. Každý dodávateľ preto musí spĺňať len tie požiadavky katalógu auditu VCSA, ktoré zodpovedajú jeho skutočnej, špecifickej úlohe. Rozlišuje sa medzi rôznymi označeniami:

• Vývoj VCS: Spoločnosť vykonáva bezpečný vývoj komponentov VCS - od integrácie. Proces integrácie systému do všeobecnej bezpečnostnej architektúry až po bezpečnú implementáciu a bezpečný prechod do výroby.
• Výroba VCS: Spoločnosť vyrába komponenty VCS a zabezpečuje ich bezpečnú konfiguráciu a softvérové vybavenie.
• Prevádzka a údržba VCS: Spoločnosti sú zverené údaje zo záznamov z vozového parku, ktoré umožňujú identifikovať problematické prevádzkové stavy alebo identifikovať konkrétne bezpečnostné incidenty. Toto označenie je vhodné aj pre spoločnosti, ktoré potrebujú udržiavať svoje komponenty VCS v aktuálnom stave.